CVE-2026-72084

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: scsi: target: PR-OUT TransportID ayrıştırmasını alınan arabellekle sınırla core_scsi3_decode_spec_i_port() ve core_scsi3_emulate_register_and_move(), ham PERSISTENT RESERVE OUT parametre arabelleğini, kaç baytın geçerli olduğunu belirtmeden target_parse_pr_out_transport_id() işlevine aktarır. Bir iSCSI TransportID (FORMAT CODE 01b) için iscsi_parse_pr_out_transport_id(), ",i,0x" ISID ayırıcısını sınırsız bir strstr() ile bulur (ve hata yolunda adı daha da sınırsız bir "%s" ile yazdırır). Bir başlatıcı, iSCSI adı ne ",i,0x" alt dizesi ne de NUL sonlandırıcı içermeyen ve parametre listesini sonuna kadar dolduran bir TransportID gönderebilir; böylece tarama arabelleğin sonunu aşar. Parametre listesi birden fazla sayfaya yayıldığında arabellek çok sayfalı bir vmap'tir (transport_kmap_data_sg()), bu nedenle fazla okuma sondaki vmalloc koruma sayfasına girer ve oops oluşturur (strstr içinde KASAN: vmalloc-out-of-bounds). Bu duruma, bir iSCSI TPG aracılığıyla dışa aktarılan bir aygıta PR OUT ileten herhangi bir fabric, vhost-scsi üzerinden bir konuk dahil olmak üzere, erişebilir. Alınan bayt sayısını ayrıştırıcıya aktarın ve iSCSI TransportID'nin kendi tanımladığı uzunluğunu (ADDITIONAL LENGTH + 4) baştan bir kez doğrulayın: spc4r17 minimumunun altındaysa veya alınan arabellekten büyükse reddedin, ardından ayırıcı aramasını, ISID yürüyüşünü ve ad kopyalamasını bu uzunlukla sınırlayın. Bu, çağıranların ayrıştırmadan sonra zaten gerçekleştirdiği uzunluk denetimidir (core_scsi3_decode_spec_i_port() tid_len'i tpdl ile karşılaştırır, core_scsi3_emulate_register_and_move() bunu data_length'e karşı doğrular) ve taramanın önüne taşınmıştır. Ayrıca sonlandırılmamış adın sınırsız "%s" kullanımını kaldırın. i_str'ye kopyalamadan önce, min_t ile sessizce kesmek yerine biçim başına açık ad uzunluğu denetimleri ekleyin: FORMAT CODE 00b için tanımlayıcı gövdesi (tid_len - 4 bayt) i_str[TRANSPORT_IQN_LEN] içine sığmıyorsa reddedin; FORMAT CODE 01b için ad kısmı (&buf[4]'ten ayırıcıya kadar) sığmıyorsa reddedin. Her iki denetim de sınır niyetini her biçim dalında açık hale getirir. Bu arada, ",i,0x" ayırıcısı tanımlayıcının tam sonunda yer alan bir FORMAT CODE 01b TransportID'yi de reddedin: bu, boş bir ISID bırakır ve döndürülen port nexus işaretçisini tanımlayıcının bir ötesindeki buf + tid_len'e yönlendirir; kayıt kodu (__core_scsi3_locate_pr_reg(), __core_scsi3_alloc_registration()) bunu daha sonra ISID dizesi olarak başvurur -- bozuk bir tanımlayıcı için parametre arabelleğinin aynı şekilde fazla okunması.